Java-plattformen har i flere år blitt utropt til å være den mest usikre programvaren man kan ha på datamaskinen. Dette skyldes primært Java-pluginen for nettlesere. Andre bruksområder, som å kjøre Java-applikasjoner lokalt på pc-en eller serveren, er på ingen måte like utsatt for sårbarheter og angrep.
Men skal Java-plattformen ha noen framtid i nettleseren, må det gjøres betydelige tiltak for å forbedre sikkerheten. Det ser nå ut til at Oracle har kommet i gang med tiltakene.
I et blogginnlegg som ble utgitt i forrige uke, skriver Nandini Ramani om de nye planene. Ramani er visepresident for utvikling i Oracle og ansvarlig for hele Java-plattformen.
Hun innleder med å fortelle at Oracle både har økt hyppigheten av sikkerhetsutgivelser og antallet sikkerhetsfikser som hver oppdatering inkluderer. Selskapet skal også kunne håndtere nulldagssårbarheter raskere enn tidligere.
Svært mange av sårbarhetene Oracle har fjernet fra Java-plattformen de siste årene, har blitt oppdaget av andre enn selskapet selv. Nå har utviklingslaget i større grad begynt å ta i bruk automatiske verktøy for sikkerhetstesting, også verktøy som laget har utviklet selv. Slike verktøy kan analysere store mengder kildekode og avdekke sårbarheter i denne ved hjelp av blant annet «fuzzing».
Sikkerhetsmodellen
Oracle har gjennom flere utgivelser innført endringer i sikkerhetsmodellen til Java-plattformen, slik at Java-applikasjoner i framtiden i langt større grad enn til nå vil måtte være signerte. Tidligere ble signerte applikasjoner bare brukt for å oppnå økte applikasjonsprivilegier. Nå brukes signaturen også til å identifisere den som har signert applikasjonen, men ikke nødvendigvis til å gi applikasjonene økte privilegier. Brukerne kan dessuten velge at kun signerte applikasjoner skal kunne kjøres.
I en kommende utgave av Java-plattformen vil det innføres en standardinnstilling som gjør at selvsignert og ikke-signert kode ikke lenger før kjøre.
Signerte apper
De fleste ondsinnede Java-applikasjoner er ikke-signerte. Men det har også vært tilfeller hvor signerte applikasjoner har skadelige. Ofte er det da brukt sertifikater med mangelfull sikkerhet. Når dette oppdages, blir de berørte sertifikatene gjerne ugyldiggjort, men Java-plattformen sjekker i utgangspunktet ikke gyldigheten til sertifikatene før kjøring. Funksjonaliteten for dette finnes, men er ikke aktivert som standard. Dette skyldes ifølge Ramani at funksjonen kan virke negativt inn på ytelsen.
Hun lover dog at selskapet planlegger forbedringer som gjør at funksjonaliteten vil bli aktivert som standard fra og med en framtidig utgivelse.
Server
I den nyeste utgaven av Java-plattformen, Java 7 update 21, innførte Oracle en ny type Java-distribusjon, Server JRE. Denne er ment brukt på servere og andre maskiner hvor bruk av nettleser-plugins uansett er uaktuelt. I denne distribusjonen er plugin-komponentene rett og slett fjernet, noe som reduserer angrepsflaten mot programvaren.
Ifølge Ramani skal Oracle vurdere om det også er andre typer biblioteker som kan fjernes fra server-distribusjonen av Java-plattformen, for å kunne redusere angrepsflaten ytterligere. Dette vil dog ikke kunne skje i dagens utgave av Java, siden er et brudd på spesifikasjonen til Java 7.
Oracle ønsker også å forbedre administrasjonsmulighetene der hvor Java er rullet ut i bedrifter. Java skal snart få «Local Security Policy»-egenskaper, noe som skal gi systemadministratorer økt kontroll over sikkerhetsinnstillingene under installasjon og utrulling av Java i virksomheten. Blant annet skal administratorene kunne velge at kun applikasjoner fra spesifikke verter får kjøres.
Les også:
- [17.12.2014] Java 9 kan skape problemer
- [06.06.2013] Nesten ingen oppdaterer Java
- [16.05.2013] Endrer versjonssystemet til Java
- [24.04.2013] Java truet av nytt, alvorlig hull
- [19.04.2013] Java 8 blir trolig utsatt på nytt
